几种基于角色的代理授权模型特征比较

基于角色访问控制(RBAC)被普遍认为是当前最具有发展潜力的访问控制策略.RBAC模型通过角色将用户和权限相联系,极大降低了授权管理的复杂性,解决了具有大量用户和权限分配的系统中管理复杂性问题.基于角色的代理授权模型是基于角色的访问控制研究的一个热点.文中对现有的几种基于角色的代理授权模型进行了比较研究,系统分析了它们的优缺点及其差异,对基于角色的代理授权模型研究和应用有一定的参考价值.     

Web服务基于代理和角色的访问控制模型研究

在Web服务中，由于传统的基于角色的访问控制模型（RBAC）无法灵活地实现基于内容和上下文的访问控制策略，从而无法适应Web服务代理动态、临时性的特点，也不能满足Web服务内容和上下文敏感的要求。因此,本文提出了一种基于代理和角色的访问控制模型（ARBAC）。本模型中，Web服务代理访问控制器根据用户及代理权限生成代理实体来取代用户访问主体的角色。代理实体是用户授权的临时的虚拟实体，它的权限是由用户和代
理两者的访问权限决定的。理论上，它的生命周期是在一次访问请求范围内。     

电子政务基于属性证书的访问控制模型

随着我国电子政务的发展,如何保障电子政务中的资源信息不被非法访问已成为当务之急。如何进行用户对资源和服务使用的限制,决定主体是否对客体有权限进行某种操作,即对用户进行访问控制的问题信息安全研究中的重要方面。授权来源于访问控制,即先对用户进行授权,然后根据用户具有的权限来进行访问控制。属性证书包含了一系列用户的权限信息,所以属性证书可以看作是权限信息的载体。根据属性证书中用户的权限信息可以对用户访问资源进行控制,基干角色的访问控制(RBAC)是一种新兴的访问控制技术和理念,是将用户划分成与其职能和职位相符合的角色,根据角色赋予相应操作权限,以减少授权管理的复杂性,降低管理开销和为管理员提供一个比较好的实现复杂安全政策的环境,是传统的自主访问控制和强制访问控制的升级和替代。RBAC的建模和实现技术是目前RBAC技术研究的热点和难点。NRBAC模型是一种更接近现实情况的模型。基于属性证书和电子政务中存在的特殊要求和特点,结合RBAC96、ARBAC97模型以及NRBAC模型,构造了一个适合电子政务系统使用的基于角色的安全访问控制模型eGA-NRBAC;利用该访问控制模型解决了电子政务工程中授权管理系统和授权服务系统的工程化实现问题。测试和实际使用都证明了此访问控制模型的正确性、可行性和可靠性。     

角色访问控制模型的分拆数实现

基于角色的访问控制RBAC是一种方便、安全、高效的访问控制,但是对RBAC模型内部的实现机制方面研究较少。提出一种基于分拆数的角色访问控制的实现模型。该模型的主要特点是引入RBAC模型的实现代理机制;当用户进入系统得到一个会话的同时,将直接激活该用户所获取的全部权限信息,角色的桥梁作用仅体现在控制代理映射环节。以自然数按集合分拆的概念实现了此模型。     

RBAC在B／S模式信息管理系统中的研究与实现

基于角色的访问控制（RBAC）具有减少授权管理复杂性、降低管理开销、增强系统安全性等优良特性。本文分析了RBAC模型的基本原理、结构,描述了RBAC在B／S模式信息管理系统中的应用模型,并将这种新的应用模型应用到某公司的业务信息管理系统开发中,实现了用户与角色相关联、角色与权限相关联,不同用户拥有不同的操作权限,增加了系统使用的安全性以及系统管理的工作效率。     

基于ASP面向移动商务的集成平台访问控制模块研究与实现

该文分析了几种常用访问控制模型的优缺点,研究和探讨了基于角色的访问控制(RBAC)策略在ASP平台中的应用,设计实现了应用与基于ASP面向移动商务集成平台的RBAC模型,该模型基于平台用户类别与企业组织结构,将角色分类分层进行管理,有效降低了系统授权的复杂性,提高了权限管理的效率和平台的安全性。     

动态安全模型中基于代理的访问控制

随着信息系统复杂性不断增强,许多大型应用系统都具有动态性,但是传统的访问控制机制不能提供动态权限分配。该文提出一个实现动态安全策略的访问控制模型,在RBAC模型基础上通过代理动态地决定访问权限,代理根据抽象角色定义和上下文信息规则,通过推导模块得到用户的实际角色,阐述模型的组成并将它应用于一个项目管理系统中。结果表明,该模型比传统的访问控制模型更加高效、安全。     

面向代理机制的角色访问控制

基于角色的访问控制模型简化了访问控制授权，但是与代理机制相结合所带来的授权问题，制约了其在网格中的应用。该文介绍了RBAC与代理机制相结合所带来的授权问题，在定义了角色屏蔽概念的基础上，提出了面向代理机制的角色访问控制模型。引入了全局角色、本地角色等概念，用于描述PRBAC模型。PRBAC模型对用户与角色的匹配是通过角色委派集和多种角色合并策略完成的。PRBAC模型可以很好地解决在网格环境中使用代理机制的情况下引入RBAC所带来角色屏蔽问题，加强了服务节点的访问安全控制。     

一种基于角色的访问控制扩展模型

基于角色访问控制(RBAC)被普遍认为是当前最具有发展潜力的访问控制策略,已成为信息安全等领域研究的热点之一.文中在经典RBAC96模型的基础上,引入组用户和事务权限的概念,提出了一种扩展RBAC模型ERBAC,它能够有效降低授权管理复杂度,提高基于角色的访问控制效率.文中给出模型的形式化定义和授权规则,然后以基于校园网的教务管理信息系统为背景,对ERBAC模型的应用方法进行了讨论.     

RBAC模型在B/S医院信息系统中的应用

RBAC(基于角色访问控制)的核心是利用角色建立用户与权限之间的联系,实现了用户与访问权限的逻辑分离,其优点是减少了授权管理的复杂性,降低管理开销,具有灵活、易用和高效的特点.针对医院信息系统(HIS)在实际运行中存在的权限管理的复杂性和数据的安全性问题,在分析传统RBAC模型的基础上,结合B/S模式医院信息系统的实际需求,设计了一个实用的、可靠的权限管理应用模型,分析了基于该模型的访问控制模块在医院信息系统中应用的合理性,并采用ASP.NET及SQL Server 2000等技术予以实现.     

P2P环境下基于信任度的可控委托信任管理模型

结合基于角色的访问控制和信任管理各自的优势,提出一个适用于开放式环境的基于信任度的可控委托授权模型,实现对角色中包含的本地和继承权限的委托控制。提出了为本地策略中的角色分配信任度阈值的方法,为角色授权增加信任度的考虑,给出在这种扩展后的信任管理系统中计算实体信任度的算法,并结合具体实例对模型的使用进行了说明。     

细粒度的基于信任度的可控委托授权模型

综合基于角色的访问控制和信任管理各自的优势,提出了一个适用于开放式环境的细粒度可控委托授权模型--FCDAM(fine-grained controllable delegation authorization model),基于信任度实现了对角色中具有不同敏感度的权限传播控制.提出了为本地策略中的权限分配信任度阈值的方法,为RT₀添加了信任度支持,给出了在这种扩展后的信任管理系统中计算实体信任度的算法,并结合具体实例对模型的使用进行了说明.     

层次化角色的受限授权模型研究

针对现有用户-用户的层次化角色授权模型存在授权冲突问题,基于授权的时限和约束限制规则,对层次化角色的授权组件、相关性质以及互斥角色的约束限制规则进行了描述.提出了一种层次化角色的受限授权模型,该模型满足最小特权和职责分离两安全原则.给出了角色授权的生成和撤销算法,并对该模型的正确性和完整性进行了讨论.最后给出了实现该模型的体系架构,并通过应用实例验证了模型的有效性和实用性,较好地解决了角色层次上的授权冲突问题.     

TRDM--具有时限的基于角色的转授权模型

当前基于角色的系统的完全依赖于管理者的集中式管理方式,不能够满足分布环境下的系统管理的需求．基于角色的转授权模型(role—based delegation model,RDM)更适于分布式环境的授权管理,但当前的几种授权模型都不支持时限(temporary)和授权宽度．基于时限和授权宽度等方面,对RDM2000(role-based delegation model 2000)模型进行了扩充,提出了完备的具有时限的基于角色的转授权模型(ternporal role—based delegation model,TRDM),并提出了新的基于TRDM的角色授权和角色撤销(revocation)机制．     

Comprehensive two-level analysis of role-based delegation and revocation policies with UML and OCL

ContextRole-based access control (RBAC) has become the de facto standard for access management in various large-scale organizations. Often role-based policies must implement organizational rules to satisfy compliance or authorization requirements, e.g., the principle of separation of duty (SoD). To provide business continuity, organizations should also support the delegation of access rights and roles, respectively. This, however, makes access control more complex and error-prone, in particular, when delegation concepts interplay with SoD rules.ObjectiveA systematic way to specify and validate access control policies consisting of organizational rules such as SoD as well as delegation and revocation rules shall be developed. A domain-specific language for RBAC as well as delegation concepts shall be made available.MethodIn this paper, we present an approach to the precise specification and validation of role-based policies based on UML and OCL. We significantly extend our earlier work, which proposed a UML-based domain-specific language for RBAC, by supporting delegation and revocation concepts.ResultWe show the appropriateness of our approach by applying it to a banking application. In particular, we give three scenarios for validating the interplay between SoD rules and delegation/revocation.ConclusionTo the best of our knowledge, this is the first attempt to formalize advanced RBAC concepts, such as history-based SoD as well as various delegation and revocation schemes, with UML and OCL. With the rich tool support of UML, we believe our work can be employed to validate and implement real-world role-based policies.     

基于角色的代理统一模型

基于角色的代理是当前访问控制领域研究的核心问题之一。文章提出一种基于角色的用户-用户代理和角色-角色代理统一模型IRBDM,讨论了IRBDM模型的基本思想、体系结构、多步代理及代理撤消策略,它可在网络、工作流管理系统中广泛应用。     

基于量化角色的可控委托模型

针对现有RBAC委托模型在支持细致委托粒度和权限传播的可控性上存在的不足，提出了量化角色的概念，实现了一种细粒度的委托约束机制，给出了一个形式化的基于量化角色的可控委托模型QBCDM（Quantifiedrole Based Controllable Delegation Model）．该模型提供了灵活的委托粒度，支持对角色任意部分权限的委托，避免了引入较高的管理代价；支持强制委托约束和细粒度的自主委托约束，保证了多步委托过程中委托能力的收敛性，显著增强了委托过程的可控性．     

基于角色的带时限的转授权与撤销模型

当前基于角色的访问控制系统完全依赖于管理者的集中管理方式,不能够满足分布式环境下的系统管理的需求,基于角色的转授权模型更适于分布式环境的授权管理。但是,目前已有的转授权模型的研究都仅限于基于常规角色的转授权与撤销,并且没有详细地讨论带时限的转授权与撤销的机制。本文将时间因素引入到转授权模型当中,同时在基于角色的管理模型的研究基础之上所扩展的模型称作基于角色的带时限的转授权与撤销模型(Temporal Role-hased Delegation and Revocation Model,TRDRM)。TRDRM在支持常规角色的转授权与撤销的同时,也支持管理角色的转授权与撤销,是集中管理方式和分布式管理方式的有效结合,满足了协同工作的需要。     

扩充角色层次关系模型及其应用

基于网络的大规模软件应用系统面临着日益复杂的数据资源安全管理的难题.基于角色的访问控制方法(role-based access control,简称RBAC)实现用户与访问权限的逻辑分离和构造角色之间的层次关系,从而方便了数据的安全管理.该文在RBAC96模型的基础上,对角色之间的层次关系进行了扩充,定义了角色的公共权限和私有权限,引入了一般继承和扩展继承机制,形成了一个能描述复杂层次关系的角色访问控制模型EHRBAC(extended hierarchy role-based access contro     

一种新的访问控制模型--TBPM-RBAC

基于角色的访问控制RBAC(role—based access control)能够降低访问控制管理工作的复杂性,但是要在RBAC申高效合理地为角色配置权限仍然具有一定的难度,而且RBAC不适合处理存在依赖和时序关系的访问控制。本文通过在RBAC中引入任务机制解决以上两点困难,即权限被授予任务,任务被授予角色,角色只能使用它正在执行的任务所允许的权限。提出了TBPM-RBAC(task—based permissions management in RBAC)模型,给出了模型的定义,对模型进行了分析并给出了模型的两个应用示例。